我正在为到本地 Windows 2003 VPN 服务器的 L2TP VPN 连接设置端口转发。路由器是一台带有 iptables 的简单 Debian 机器。VPN 服务器运行正常。但我无法从 WAN 登录。我遗漏了一些东西。
VPN 服务器使用预共享密钥 (L2TP),并提供以下范围内的 IP:192.168.3.0。本地网络范围是 192.168.2.0/24
我添加了路由:使用 route add -net 192.168.3.0 netmask 255.255.255.240 gw 192.168.2.13 (vpn 服务器)
iptables -t nat -A PREROUTING -p udp --dport 1701 -i eth0 -j DNAT --to 192.168.2.13
iptables -A FORWARD -p udp --dport 1701 -j ACCEPT
iptables -t nat -A PREROUTING -p udp --dport 500 -i eth0 -j DNAT --to 192.168.2.13
iptables -A FORWARD -p udp --dport 500 -j ACCEPT
iptables -t nat -A PREROUTING -p udp --dport 4500 -i eth0 -j DNAT --to 192.168.2.13
iptables -A FORWARD -p udp --dport 4500 -j ACCEPT
iptables -t nat -A PREROUTING -p 50 -j DNAT --to 192.168.2.13
iptables -A FORWARD -p 50 -j ACCEPT
iptables -t nat -A PREROUTING -p 51 -j DNAT --to 192.168.2.13
iptables -A FORWARD -p 51 -j ACCEPT
整个 iptables 脚本是(不包括上面的行):
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
#Flush table's
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -t nat -F
#Drop traffic
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#verkeer naar buiten toe laten en nat aanzetten
iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#RDP forward voor windows servers
iptables -t nat -A PREROUTING -p tcp --dport 3389 -i eth0 -j DNAT --to 192.168.2.10:3389
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 3340 -i eth0 -j DNAT --to 192.168.2.12:3340
iptables -A FORWARD -p tcp --dport 3340 -j ACCEPT
#toestaan SSH verkeer
iptables -t nat -A PREROUTING -p tcp --dport 22 -i eth0 -j DNAT --to-destination 192.168.2.1
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#toestaan verkeer loopback
iptables -A INPUT -i lo -j ACCEPT
#toestaan lokaal netwerk
iptables -A INPUT -i eth1 -j ACCEPT
#accepteren established traffic
iptables -A INPUT -i eth0 --match state --state RELATED,ESTABLISHED -j ACCEPT
#droppen ICMP boodschappen
iptables -A INPUT -p icmp -i eth0 -m limit --limit 10/minute -j ACCEPT
iptables -A INPUT -p icmp -i eth0 -j REJECT
ifconfig eth1 192.168.2.1/24
ifconfig eth0 XXXXXXXXXXXXX/30
ifconfig eth0 up
ifconfig eth1 up
route add default gw XXXXXXXXXXXXXXXXXXX
route add -net 192.168.3.0 netmask 255.255.255.240 gw 192.168.2.13
答案1
请在测试时运行 tcpdump 会话,并查看测试前后 iptables -L -nv 的计数器。
答案2
解决方案:iptables -A FORWARD -p udp --sport 1701 -j ACCEPT
答案3
如果您位于防火墙和 NAT 后面,您可能会寻找: http://support.microsoft.com/kb/885407/en-us